Co se změní ve smlouvě s vaším objednávatelem
Objednávatel, který sám podléhá povinnosti péče NIS2 — nemocnice, energetická společnost, velký logistický uzel — musí prokázat, že jsou viditelná rizika v jeho vlastním řetězci. Instalační společnosti často sídlí uprostřed tohoto řetězce, ne proto, že by samy podléhaly povinnosti, ale proto, že mají fyzický a digitální přístup do budovy a systémů tohoto objednávavele. To je přesně důvod, proč se smluvní požadavky, se kterými se v nadcházející době setkáte, soustředí na přístup: kdo se smí dovnitř, jakými prostředky, a co může tato osoba od tam dosáhnout.
Jádro je jednoduché pochopit bez samotného přečtení právního textu: objednávatel se od vás může ptát, jak předcházíte tomu, aby se klíč, průkazka nebo údržbové připojení stalo vchodem pro někoho jiného. Přesné znění se liší podle objednávávajícího, ale základní otázka je u téměř všech stejná.
Co přesně požaduje plichtig objednávatel
Směrnice NIS2 zavazuje klíčové a důležité subjekty k posouzení rizik u dodavatelů — to je jádro povinnosti péče z článku 21. Tato povinnost se v praxi přeměňuje na tři druhy požadavků, které se vyskytují u instalačních společností: požadavky na osoby (kdo se smí jménem vás objevit na místě), požadavky na prostředky (jak se spravují klíče, průkazky a pracovní příkazy) a požadavky na připojení (jak se vzdáleně přihlašujete do stavebních systémů). Žádný z těchto požadavků se v směrnici doslova neobjevuje; jedná se o praktické interpretace, které si objednávatelé sami zvolí, aby splnili svou vlastní povinnost péče.
Pokud si nejste jistí, zda váš objednávatel sám podléhá této povinnosti, lze to ověřit prostřednictvím stručné kontroly, která ukáže, kdo v řetězci je zasažen. To pomáhá lépe pochopit rozhovor s objednávavelem: jde o povinnost, která od něj pochází, nebo o vlastní volbu jejich nákupního oddělení.
Přístup do budov: klíče, průkazky a systémy řízení budov
U fyzického přístupu jde často o tři otázky, které se opakují ve smlouvách: je veden registr klíčů nebo průkazek na zaměstnance, je tento přístup zrušen ihned poté, co někdo opustí projekt nebo společnost, a existuje pevný postup pro oznámení subdodavatelů, kteří vás přijdou na místo. Pro instalační společnosti pracující se střídavými techniky a subdodavateli je to často součást, kde je potřeba nejvíce přizpůsobení — ne proto, že by to bylo technicky složité, ale jednoduše proto, že to ještě nebylo stanoveno.
Systémy řízení budov — systémy, které řídí vytápění, osvětlení, výtahy nebo kontrolu přístupu — tvoří samostatnou kategorii. Objednávatel často chce vědět, zda bylo heslo takového systému po předání změněno, kdo spravuje přihlašovací údaje, a zda bylo staré heslo z předchozího projektu znovu použito. To není přehnaná nedůvěra: systémy řízení budov jsou přesně ten typ systému, kde porucha nezůstane v IT oddělení, ale bude viditelná v samotné budově.
Přístup k systémům: vzdálená správa a údržbová připojení
Kde instalační společnosti sledují vzdáleně nebo provádějí údržbu — prostřednictvím připojení VPN, nástroje podobného teamvieweru nebo pevné IP adresy, která získá přístup — chce objednávatel obvykle vědět, jak je toto připojení zabezpečeno, zda je po použití vypnuto, a kdo má interně ve vaší společnosti přístup k tomuto připojení. To přímo souvisí se správou přístupu v rámci vaší vlastní organizace: připojení, které může kterýkoli člen týmu použít bez protokolu nebo časového omezení, je přesně ten typ odpovědi, na kterém se bezpečnostní dotazník zasekne.
Témata, která k tomu patří — od zásad správy hesel až po zrušení přístupu při odchodu zaměstnanců — jsou jasně popsána v přehledu témat podle situace, abyste nemuseli hledat v úplné směrnici část, která se vás týká.
Co si už teď můžete připravit
I bez uzavřeného konkrétního kontraktu má smysl vědět, které klíče, přístupové karty a připojení jsou v tuto chvíli aktivní u probíhajících projektů, a zda je tato evidence aktuální. Nejde o právní práci, ale o administrativní práci, a jde přesně o typ důkazu, který si objednávající later může vyžádat. Pokud si nejste jistí, zda je specifický požadavek v návrhu kontraktu přiměřený nebo přesahuje to, co opatření péče ospravedlňují, je to otázka pro právníka nebo, máte-li pochybnosti o povinnosti samotného objednávajícího, pro dohledový orgán — secria.eu připravuje podkladové dokumenty, ale nevyslovuje se k jednotlivým kontraktům.
Chcete-li nejdřív vidět, jak secria.eu takové otázky podporuje, od první kontroly až po šablony pro dotazník? Na stránce vysvětlující zdroj informací je uveden obsah platformy krok za krokem, a nejčastější otázky týkající se role a povinnosti odpovídají na podobné pochybnosti dalších instalačních podniků.
Pokud chcete vědět, zda vaše vlastní situace v dodavatelském řetězci padá do rozsahu a co to konkrétně znamená pro kontrakty, které podepisujete, je bezplatná NIS2-kontrola logickou první zastávkou, stejně jako znalostní báze dostupná bez účtu.